Un seul chercheur assisté par l’IA a découvert les énormes vulnérabilités du rayon d’explosion en utilisant moins de 20 invites sur des modèles accessibles au public en moins de 24 heures.
Zoom a corrigé quatre vulnérabilités dans ses applications, dont deux pourraient permettre aux attaquants qui rejoignent une réunion d’exécuter du code malveillant sur les systèmes de tous les autres participants à la réunion sans aucune interaction de leur part.
Trois des vulnérabilités affectent toutes les applications client Zoom pour toutes les plates-formes antérieures aux versions 7.1.5 et 7.0.6, tandis que la quatrième affecte le client Zoom Workplace VDI pour Windows et les plug-ins VDI sur toutes les plates-formes prises en charge avant les versions 7.0.11 et 6.6.15. Des produits tels que Zoom Rooms et Zoom Meeting SDK antérieurs aux versions 7.1.0 sont également concernés.
Les trois vulnérabilités du client sont des problèmes de corruption de mémoire dans la fonction d’annotation de texte et ont été découvertes par un chercheur de A Security à l’aide d’un agent IA.
« L’ensemble de l’opération, depuis la recherche de la faille jusqu’à la création d’un exploit fonctionnel, a été réalisé par A (Sécurité) en utilisant moins de 20 invites sur des modèles d’IA accessibles au public en moins de 24 heures », a indiqué la société dans son rapport. « Cette classe de capacités n’aurait auparavant été accessible qu’aux acteurs menaçants des États-nations, mais le modèle exigeant des équipes d’élite, des mois d’efforts et des budgets de qualité militaire s’est effondré. Aujourd’hui, un seul chercheur a pu développer un exploit au niveau d’un État-nation en moins d’une journée. «
Les chercheurs soulignent l’énorme rayon d’action potentiel d’un tel exploit, Zoom étant utilisé par 70 % des entreprises du Fortune 100, la plupart des entreprises du Fortune 500 et les agences fédérales. De plus, cet exploit ne nécessite pas que les participants à la réunion effectuent un quelconque type d’action, comme cliquer ou télécharger quoi que ce soit. Tout cela se passe silencieusement, sans aucune indication que l’attaquant a exécuté un code malveillant sur son ordinateur.
Comment fonctionne la vulnérabilité
Lorsqu’un participant dessine, écrit ou surligne du texte sur un écran partagé ou un tableau blanc dans Zoom, son client n’envoie pas de pixels. Au lieu de cela, il crée un objet typé en mémoire qui décrit l’action, puis sérialise cet objet dans un flux d’octets et l’envoie au routeur multimédia de Zoom, qui le transmet ensuite à tous les participants à la réunion, dont l’application client désérialise l’objet.
Les opérations de sérialisation et de désérialisation des données constituent une source importante de vulnérabilités liées à la corruption de la mémoire dans les applications, car il est facile de se tromper et les entrées sont contrôlées par les attaquants. Zoom alloue quatre tampons fixes de 128 octets pour écrire les paquets d’annotations désérialisés, mais le code vérifie uniquement que les paquets sont différents de zéro, pas leur taille.
Par conséquent, si un attaquant parvient à générer un paquet qui remplit et dépasse les quatre tampons fixes, il dispose d’une condition de débordement de tampon qu’il peut exploiter pour insérer du code malveillant dans la mémoire de l’application.
Le chercheur de A Security a identifié une vulnérabilité de dépassement de tampon, CVE-2026-53413, et une erreur de mémoire d’utilisation après libération, CVE-2026-53415, qui peuvent toutes deux lire l’exécution de code à distance. Une troisième faille, CVE-2026-53414, est une vérification des limites manquantes qui peut conduire à une condition de déni de service.
Zoom a également corrigé une faille de traversée de chemin, CVE-2026-53416, dans le client VDI et les plugins qui pourrait conduire à la divulgation d’informations. Zoom VDI (Virtual Desktop Infrastructure) est une version spéciale de l’application Zoom conçue pour s’exécuter sur des bureaux virtuels tels que Citrix, VMware Horizon et Azure Virtual Desktop.
Atténuation
Outre la mise à jour des clients Zoom, les organisations peuvent désactiver le paramètre de cryptage de bout en bout (E2EE) pour leurs réunions. En effet, Zoom a déployé une atténuation côté serveur pour cette faille qui filtre les messages d’annotation malveillants. Lorsque E2EE est activé, le serveur ne voit que les messages cryptés et ne peut pas effectuer un tel filtrage.
Une autre mesure d’atténuation consiste à définir la version minimale par plate-forme pour les invités et le personnel dans les préférences de réunion et à autoriser uniquement les clients dotés du correctif à rejoindre les réunions.
« Cet exploit nécessitait uniquement une présence à la réunion, donc les règles de participation sont le contrôle d’accès : salles d’attente, codes d’accès, utilisateurs authentifiés uniquement, pas de lien de réunion personnel publié », ont déclaré les chercheurs. « Alors supprimez ce que personne n’utilise, car chaque fonctionnalité facultative est un autre analyseur. Dans Zoom, envisagez de verrouiller les annotations, le transfert de fichiers, le tableau blanc, le contrôle à distance et les applications tierces, et de limiter le partage d’écran aux hôtes. »
